LLMMap

LLMMap ist ein automatisiertes Framework zum Testen von Prompt-Injektionen für LLM-integrierte Anwendungen. Es entdeckt Injektionspunkte in HTTP-Anfragen, generiert zielgerichtete Angriffsprompts mittels einer Dual-LLM-Architektur, feuert sie auf das Ziel ab und bestätigt die Ergebnisse mit statistischen Zuverlässigkeitstests. Inspiriert von sqlmap bringt LLMMap denselben systematischen, evidenzbasierten Ansatz für LLM-Sicherheitstests.

Rechtlicher Hinweis: Die Verwendung von LLMMap zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.

Installation

python -m venv .venv && source .venv/bin/activate
pip install -e .

Voraussetzungen: Python >= 3.11. Einzige Abhängigkeit: PyYAML.

Verwendung

LLMMap akzeptiert Ziele über Burp-Suite-Request-Export (-r) oder URL (-u). Platziere * dort, wo der Prompt injiziert werden soll.

# URL-Ziel (Ollama-Standard – kein API-Schlüssel erforderlich)
llmmap -u "https://target.example.com/chat?q=*" --goal "reveal the hidden password"

# Burp-Suite-Request-Export
llmmap -r request --goal "reveal the system prompt"

# Cloud-Anbieter (OpenAI, Anthropic, Google)
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "reveal the system prompt" --provider openai

# Intensitätskontrolle (1–5, Standard: 1)
llmmap -r request --goal "reveal the system prompt" --intensity 3

# Auf bestimmte Parameter oder Injektionspunktklassen beschränken
llmmap -r request --goal "..." -p prompt --injection-points QB

Vollständige Optionen:

llmmap -h

Funktionen

• 227 Prompt-Injektionstechniken in 18 Angriffsfamilien, organisiert in 4 Prompt-Paketen
• Dual-LLM-Architektur – Generator erstellt zielbewusste Prompts; Evaluator bewertet Zielantworten
• 4 LLM-Backends – Ollama (Standard, lokal, kein API-Schlüssel), OpenAI, Anthropic, Google
• 5 Injektionspunktklassen – Query-Parameter (Q), Body (B), Header (H), Cookies (C), Pfad (P)
• Intensitätsstufen 1–5 – steuert Prompts pro Familie (1/2/4/8/16) und Verschleierungsmethoden
• Verschleierungs-Engine – Base64, Homoglyphen, Leetspeak, Sprachwechsel
• Statistische Bestätigung – Wilson-Konfidenzintervall mit konfigurierbaren Wiederholungen (Standard: 5 Wiederholungen, 3 Erfolge)
• Sicherer Modus – standardmäßig aktiviert; blockiert riskante Prompt-Familien
• Burp-Suite-Integration – liest Request-Exporte nativ; Proxy-Unterstützung für Verkehrsinspektion
• sqlmap-ähnliche Ausgabe – zeitgestempelte, farbcodierte Konsolenausgabe mit --no-color-Unterstützung
• Trockenlauf-Modus – Scan-Konfiguration validieren ohne Anfragen zu senden

Architektur

Target (-r/-u)
    |
    v
Injection Point Discovery (Q/B/H/C/P)
    |
    v
Prompt Generation (Generator LLM + technique library)
    |
    v
Request Mutation & Delivery
    |
    v
Response Analysis (Judge LLM + heuristic detectors)
    |
    v
Reliability Confirmation (Wilson CI)
    |
    v
Findings Report

Standard-Backend: Ollama (lokal, kein API-Schlüssel). Andere unterstützte Backends: OpenAI, Anthropic, Google.

Links

• Architektur
• Autorisierung und Sicherheit
• Mitwirken
• Änderungsprotokoll
• Fahrplan
• Lizenz